[论文解读] Key Distribution Protocols Based on Extractors Under the Condition of Noisy Channels in the Presence of an Active Adversary

Viktor Yakovlev, Valery Korzhik+2 more|arXiv (Cornell University)|May 18, 2010

Wireless Communication Security Techniques参考文献 20被引用 3

一句话总结

本文提出在主动攻击者条件下，针对噪声窃听信道的基于提取器的密钥分发协议，采用显式的非渐近密钥速率估计而非 O-notation。结果表明，仅当密钥长度极长（ℓ > 10⁵ 比特）时，提取器才优于哈希函数；并提出混合协议，其中提取器仅用于第二阶段，从而在该阶段实现更高的密钥速率，同时通过基于哈希的第一阶段密钥保持认证安全。

ABSTRACT

We consider in this paper the information-theoretic secure key distribution problem over main and wire-tap noise channels with a public discussion in presence of an active adversary. In contrast to the solution proposed by ourselves for a similar problem using hashing for privacy amplification, in the current paper we use a technique of extractors. We propose modified key distribution protocols for which we prove explicit estimates of key rates without the use of estimates with uncertain coefficients in notations $O,Ω,Θ$. This leads in the new conclusion that the use of extractors is superior to the use of hash functions only with the very large key lengths $\ell$ (of order $\ell>10^5$ bits). We suggest hybrid key distribution protocols consisting from two consecutively executed stages. At the fist stage it is generated a short authentication key based on hash function, whereas at the second stage it is generated the final key with the use of extractors. We show that in fact the use of extraction procedure is effective only at the second stage. We get also some constructive estimates of the key rates for such protocols.

研究动机与目标

• 设计在主动攻击者存在下，基于提取器而非哈希函数的噪声信道信息论安全密钥分发协议。
• 提供显式的、非渐近的密钥速率估计，避免依赖不确定的 O、Ω、Θ 符号。
• 研究混合协议，其中第一阶段使用哈希函数生成认证密钥，第二阶段使用提取器生成最终密钥。
• 比较基于提取器的协议与现有基于哈希的协议在密钥速率和效率方面的性能。
• 推导渐近密钥速率行为，并与保密密钥容量及先前协议进行比较。

提出的方法

• 协议模型采用噪声主信道和窃听信道，合法用户共享原始比特串，需进行纠错和认证。
• 通过纠错对齐原始密钥，随后使用基于短密钥的认证码实现非交互式认证。
• 通过提取器执行隐私放大，从对齐串中生成最终的保密密钥，以最小化对窃听者的信息泄露。
• 密钥速率基于最小熵 H∞(pw) 和函数 g(pm) 推导，其中 g(pm) 表示主信道误码概率 pm 导致的泄露。
• 构建混合协议为顺序组合：第一阶段使用哈希函数生成短认证密钥，第二阶段使用提取器生成最终密钥。
• 推导出有限 ℓ 和渐近极限下的显式密钥速率公式，参数为 T₀ = H∞(pw)，T₁ = T₀ − g(pm)，T₂ = cℓ + u + a。

实验结果

研究问题

• RQ1 在主动攻击者存在的噪声信道密钥分发中，提取器在何种条件下能提供高于哈希函数的密钥速率？
• RQ2 能否为基于提取器的协议推导出显式的、非渐近的密钥速率估计，而无需依赖 O-notation？
• RQ3 在混合协议中，将提取器仅用于第二阶段是否比单独使用更有效？
• RQ4 渐近意义上，混合提取器协议的密钥速率与基于哈希的协议及保密密钥容量相比如何？
• RQ5 在该设置下，提取器超越哈希函数的密钥长度阈值 ℓ 是多少？

主要发现

• 在给定信道条件下，仅当密钥长度极长（具体为 ℓ > 10⁵ 比特）时，提取器才在密钥速率上优于哈希函数。
• 混合协议（β, α′_ext）在所有提出的混合协议中实现最高密钥速率，在某些参数范围内优于其基于哈希的对应协议（β, α′）。
• 基于提取器的隐私放大仅在混合协议的第二阶段有效；若在第一阶段使用提取器则无任何优势。
• 渐近意义上，所有混合提取器协议的密钥速率均为 H∞(pw) − g(pm)，与保密密钥容量表达式一致，但使用最小熵而非香农熵。
• 当主信道无噪声时，所有基于提取器的协议渐近密钥速率均为 H∞(pw)，与主信道误码概率无关。
• 由于种子和参数开销较高，除非 ℓ 极其庞大，否则在实际密钥长度下使用提取器并无合理性。